پاد Evicted در Kubernetes؛ فشار نود رو از OOM و زمان‌بندی جدا کن

انتخاب سیستم‌عامل برای میزبان اجرای kubectl است، نه گواهی سازگاری سیستم‌عامل نودها. از همان حساب عادیِ مجاز و kubectl مورد تأیید تیم استفاده کن؛ اجرای kubectl با sudo می‌تونه kubeconfig و هویت متفاوتی انتخاب کنه. این ابزار روی میزبان مدیریت daemon نیست و برایش kubelet یا کلاستر تازه راه نمی‌اندازیم.

بسته‌های پایه و نسخهٔ خود کلاینت رو بخون. نبود ابزار یعنی قبل از ادامه، کلاینت سازگار رو در تغییر برنامه‌ریزی‌شده با روش رسمی تیم آماده کنی. آخرین نسخهٔ تصادفی، بستهٔ آرچ روی مانجارو یا مخزن خارجیِ تأییدنشده راه آماده‌سازی این رخداد نیست. راهنمای رسمی، دریافت نسخهٔ مشخص و بررسی checksum باینری رو هم توضیح می‌ده؛ این آموزش عمداً کلاینت موجود و مجاز رو پیش‌نیاز می‌گیره.

در شاخهٔ ۱۰/۹ از نسخهٔ فرعی پشتیبانی‌شده و به‌روز و مخزن مجاز RHEL یا مخزن رسمی راکی/آلما برای بستهٔ پایه استفاده کن. kubectl و افزونهٔ مجاز فعلی رو نگه دار. SELinux، firewalld و سیاست رمزنگاری میزبان حفظ می‌شن؛ پورت ورودی یا سرویس نود تازه لازم نیست.

cat /etc/os-release
uname -m
rpm -q ca-certificates bash coreutils
command -v bash kubectl
kubectl version --client --output=yaml

SELinux و firewalld و سیاست رمزنگاری فعلیِ میزبان مدیریت رو نگه دار. خطای افزونه یا kubeconfig یا اعتماد TLS رو با مسئول همان میزبان حل کن؛ سیاست رو permissive نکن، مسیرها رو بازگشتی relabel نکن و پورت عمومی تازه باز نکن. این بررسی فقط وضعیت موجود رو می‌خونه و دربارهٔ سیاست نودهای کلاستر رأی نمی‌ده.

if command -v getenforce >/dev/null 2>&1; then getenforce; fi
if command -v firewall-cmd >/dev/null 2>&1; then firewall-cmd --state; fi

نام context رو با مقصد مورد تأییدت تطبیق بده و همین شل Bash رو تا پایان نگه دار. تابع k در پنل‌های بعدی همان context رو صریح انتخاب می‌کنه و برای هر درخواست مهلت می‌ذاره. اگر شل تازه باز کردی، این مرحله رو دوباره انجام بده؛ context خالی نباید بی‌صدا به مقصد دیگری تبدیل بشه.

در تاریخ بررسی، شاخه‌های نگهداری‌شدهٔ upstream برابر ۱٫۳۷، ۱٫۳۶ و ۱٫۳۵ هستن. kubectl باید حداکثر یک نسخهٔ minor با همهٔ API serverهایی که ممکنه بهشون وصل بشه اختلاف داشته باشه؛ کلاستر HA هنگام ارتقا این بازه رو محدودتر می‌کنه. محدودیت عرضه‌کننده و نسخهٔ درایور هم جداست. خطا یا نرسیدن به نسخهٔ سرور، اجازهٔ ادامه بر اساس حدس نیست.

context=$(kubectl config current-context) || exit 1
test -n "$context" || exit 1
printf 'Selected context: %s\n' "$context"
k() {
    test -n "${context:-}" || { printf 'STOP: load the selected context in this shell first.\n' >&2; return 1; }
    kubectl --context "$context" --request-timeout=20s "$@"
}
k version --output=yaml

خواندن namespace رو جدا از نود، پاد/رخداد همهٔ namespaceها و metrics بسنج. ممکنه مسئول نود یا پلتفرم باید بخش کلاستری شواهد رو جمع کنه. جواب no ثابت نمی‌کنه آن نشانه وجود نداره؛ مجوز metrics هم نصب‌بودن API یا تازه‌بودن نمونه رو تضمین نمی‌کنه.

پیام پاد، نام‌ها و مشخصات نود رو خصوصی نگه دار. فقط برای کامل‌شدن شاخهٔ اختیاری این آموزش، دسترسی proxy نود، پاد debug با مجوز بالا یا cluster-admin نخواه. برای تشخیص اولیه به kubeconfig خام، Secret یا بدنهٔ لاگ برنامه نیاز نداریم.

k auth can-i get pods -n 'apps'
k auth can-i list events -n 'apps'
k auth can-i get nodes
k auth can-i list pods --all-namespaces
k auth can-i list events --all-namespaces
k auth can-i get nodes.metrics.k8s.io